CVE-2024-14041

W wersjach od 1.73 do przed 1.78 trzy procedury ML-KEM wykonują dzielenie współczynników wielomianów, wyprowadzonych z sekretu, przez modulus q: Poly.toMsg (dekodowanie odszyfrowanej wiadomości), Poly.compressPoly oraz PolyVec.compressPolyVec (kompresja szyfrogramu). Czas wykonania dzielenia jest zależny od wartości danych wejściowych, co tworzy mierzalny kanał boczny. Są to podatności określane jako KyberSlash1 (Poly.toMsg) i KyberSlash2 (kompresja szyfrogramu). Operacja kompresji wykonywana podczas enkapsulacji działa na wartościach wchodzących w skład publicznego szyfrogramu i nie jest podatna na ten atak.

Atakujący zdolny do wielokrotnego mierzenia czasu operacji dekapsulacji wykonywanych z użyciem tego samego długoterminowego klucza prywatnego może odtworzyć ten klucz, co prowadzi do całkowitego ujawnienia poufnych danych chronionych tym kluczem.

Należy zaktualizować Bouncy Castle dla Java do wersji 1.78 lub nowszej, w której błędne dzielenia zostały poprawione. Patche dostępne są w repozytorium projektu (commity wskazane w referencjach producenta).

Bouncy Castle dla Java w wersjach od 1.73 do przed 1.78 (implementacja ML-KEM/CRYSTALS-Kyber)

Podatność obejmuje dwie oddzielne ścieżki ataku: KyberSlash1 (procedura Poly.toMsg) i KyberSlash2 (procedury kompresji szyfrogramu), opisane szczegółowo pod adresem kyberslash.cr.yp.to. Atak wymaga możliwości wykonania dużej liczby pomiarów czasu dekapsulacji (AC:H, AT:P), co ogranicza jego praktyczność, lecz nie eliminuje zagrożenia w scenariuszach z trwałymi kluczami długoterminowymi.